Registre des traitements : mode d'emploi et modèle

Le registre des activités de traitement est l'outil central du RGPD. Il répond à une question simple : que fait votre organisation des données personnelles, pourquoi, et comment les protège-t-elle ? Bien tenu, il sert à piloter, à répondre à une demande de la CNIL, et à réagir vite en cas d'incident.

Qui doit tenir un registre ?

Le responsable du traitement, c'est-à-dire l'organisation qui décide pourquoi et comment les données sont utilisées, et le sous-traitant qui traite des données pour le compte d'un client, chacun pour ce qui le concerne (article 30).

Ce que l'article 30 demande d'y inscrire

Pour le responsable du traitement

• Le nom et les coordonnées du responsable du traitement, et le cas échéant du responsable conjoint, du représentant et du délégué à la protection des données.
• Les finalités du traitement : à quoi il sert.
• Les catégories de personnes concernées (salariés, clients, usagers…) et les catégories de données traitées.
• Les catégories de destinataires, y compris dans des pays tiers ou des organisations internationales.
• Les transferts hors de l'Union européenne, avec les garanties prévues.
• Dans la mesure du possible, les délais d'effacement prévus.
• Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles.

Pour le sous-traitant

• Le nom et les coordonnées du sous-traitant, de chaque client responsable du traitement, et du délégué à la protection des données.
• Les catégories de traitements effectués pour le compte de chaque client.
• Les transferts hors de l'Union européenne et leurs garanties.
• Dans la mesure du possible, une description générale des mesures de sécurité.

Le registre se tient par écrit, y compris sous forme électronique, et se met à disposition de la CNIL sur demande. Il n'a pas à être envoyé spontanément.

Comment le construire

1. Partir des activités, pas des logiciels. Une fiche par finalité : « gestion de la paie », « suivi des clients », « recrutement », « vidéoprotection ». Un même logiciel peut servir plusieurs finalités.
2. Interroger chaque service. Ressources humaines, comptabilité, commercial, accueil : chacun sait ce qu'il collecte et pourquoi.
3. Remplir une fiche par activité avec les rubriques de l'article 30.
4. Repérer les sous-traitants pour chaque fiche : éditeur, hébergeur, prestataire de paie. Vérifiez que le contrat contient bien les clauses prévues par l'article 28.
5. Fixer les durées de conservation, puis vérifier qu'elles sont appliquées.
6. Signaler les traitements à risque, qui pourraient nécessiter une analyse d'impact.

Un exemple de fiche

Le garder vivant

• Un nouveau projet, un nouvel outil ? Une fiche à créer ou à mettre à jour avant la mise en service.
• Un rendez-vous annuel pour relire chaque fiche avec les services.
• Des liens avec les autres registres : violations de données, sous-traitants, demandes d'exercice des droits.
• Une date et un auteur pour chaque modification : on sait ce qui a changé, et quand.

Le registre vous aide aussi le jour d'un incident : en sachant où sont les données, vous évaluez plus vite si une violation présente un risque et s'il faut la notifier à la CNIL. Pour une question précise, l'assistant CNIL vous oriente vers les bonnes ressources.